Fjärråtkomst till maskiner ger tydliga fördelar för tillverkningen. Enligt ARC är 63 % av underhållsarbetet på en maskin antingen för en rutinkontroll, eller så upptäcker de att det helt enkelt inte finns några problem. Dessutom kan 30 % eller mer av dessa reparationer utföras på distans genom att ändra parametrar via Internet eller med mindre hjälp av en person på plats. Med tanke på att oplanerade driftstopp kan kosta upp till 500 000 € per timme, ger fjärråtkomst stora besparingar för OEM-tillverkare och tillgångsägare.
Det finns viktiga skillnader mellan hur industriella styrsystem (ICS) fungerar jämfört med IT-system.
ICS har utformats för att vara effektivt för dataöverföring med hög hastighet och för deterministiska processer, men inte för säkerhet. Tillgänglighet är av yttersta vikt när det gäller ICS. Jämför det med IT-system, som prioriterar säkerhet och konfidentialitet framför allt, med mindre fokus på determinism. Dessutom, medan en riskanalys för IT skulle ta hänsyn till inverkan på eventuell dataförlust eller fel i affärsverksamheten, tar industriella styrsystem först hänsyn till risken för förlust av liv, utrustning eller produkt.
Nedan följer våra rekommendationer som slutanvändare och tillgångsägare bör tillämpa när de väljer och implementerar en robust, skalbar industriell fjärråtkomstlösning.
Varje användare måste ha en unik identifiering och autentisering. Om en användares åtkomst måste återkallas (till exempel på grund av att han eller hon lämnar företaget) bör det vara möjligt att göra det direkt på kontot.
Standardlösenord är välkända inom industriell automation, de kan lätt hittas på internet eller i någon bruksanvisning. Glöm inte att ändra lösenordet för enheten/applikationen när du konfigurerar den för första gången.
Flerfaktorsautentisering bör betraktas som en av de bästa metoderna för fjärråtkomst till industrimaskiner eftersom det ger ett extra säkerhetslager.
En centraliserad hantering av åtkomsträttigheterna till maskinerna på servernivå erbjuder ett extra säkerhetslager till användarbehörighetshanteringen. Varje användare måste tillhöra en grupp som har tilldelade roller (behörigheter) för att få åtkomst till var och en av routrarna eller grupper av dem.
Systemet ska göra det möjligt att stödja behöriga användares hantering av alla konton, inklusive att lägga till, aktivera, ändra, inaktivera och ta bort konton.
Systemet måste kunna logga händelser för åtkomstkontroll, fel, operativsystem, kontrollsystem, säkerhetskopiering och återställning, konfigurationsändringar, potentiell rekognoseringsaktivitet och granskningslogg. Enskilda granskningsposter bör innehålla tidsstämpel, källa, kategori, typ, händelse-ID och händelseresultat.
Leverantörer kommer vanligtvis att kräva fjärråtkomst av två skäl: akut driftssupport och systemunderhåll. Systemunderhåll kan normalt schemaläggas och protokoll för fjärråtkomstanslutningar kan upprättas och övervakas.
Därför, för att ge ytterligare säkerhet och kontroll, bör VPN och/eller internetåtkomst aktiveras/inaktiveras via en mekanisk signal, till exempel en nyckelbrytare. På så sätt kan resursägaren inaktivera leverantörens fjärranslutning tills det behövs. När uppgifterna har slutförts kan tillgångsägaren inaktivera leverantörens fjärranslutning igen.
Fjärrsupportpersonal som ansluter via Internet bör använda ett krypterat protokoll, till exempel att köra en VPN-anslutningsklient, programserver eller säker HTTP-åtkomst, och autentisera med hjälp av en stark mekanism, till exempel ett tokenbaserat multifaktorautentiseringsschema.
Maskinleverantören ska endast nå de maskiner som han ansvarar för för support och underhåll i anläggningen. Därför måste systemet vara konfigurerbart för att separera datorns nätverkssegment eller zon från resten av nätverket.
Att använda någon utrustning som är en del av maskinstyrningen (t.ex. en PC, HMI eller en PLC) som VPN-värd kan minska dess resurser och därmed dess prestanda för dess huvuduppgift, som är själva kontrollen. För att säkerställa kontrollsystemets tillgänglighet måste det också ge möjlighet att arbeta i ett försämrat läge under en DoS-händelse. Därför kommer en extern router att fungera som en gränsskyddsanordning för att filtrera vissa typer av paket för att skydda kontrollsystem från att påverkas direkt av DoS-händelser, På så sätt undviks alla yttre angrepp som direkt påverkar styrsystemet och stoppar maskinen.
Inga inkommande brandväggsportar ska öppnas eller exponeras för Internet och inga statiska Internet-IP-adresser ska krävas.
Den industriella routern bör initiera en utgående säker VPN-tunnel punkt-till-punkt-anslutning med ett specifikt konto i molnet. Den här tunneln autentiseras och krypteras med HTTPs och går över företagsnätverket och genom brandväggen (endast utgående).
I enlighet med tillverkarens rekommendationer. Dessutom kan du bli underrättad av ICS-CERT (Industrial Control Systems Cyber Emergency) om sårbarheter som hittats i industriell automationsutrustning och få rekommendationer om nödvändig patchning också.
De system som ingår i en fjärråtkomstlösning (router och molntjänster) är inte alltid kritiska och är för det mesta frånkopplade. Därför är det inte nödvändigt att följa andra specifika policyer för uppgradering av systemet än de som rekommenderas av tillverkaren. Tillgångsägaren bör standardisera och underhålla hur och när den senaste säkerhetskorrigeringen ska erhållas.
Närhelst fjärråtkomstsupport behövs för akut driftsupport blir fjärrservice avgörande för maskinens tillgänglighet. Således måste tjänsteleverantören av åtkomsten garantera en tjänst med hög tillgänglighet av molntjänsten med ett SLA (Service Level Agreement) och detta SLA måste förstärkas med flera åtgärder och kontrollmål.
Det här är bara några av våra rekommendationer för alla företag som vill standardisera på en fjärranslutningslösning.
Vill du lära dig mer om industriell fjärråtkomst? Ladda ner vårt kostnadsfria whitepaper nu!